Mettre à jour le registre des activités après un incident
L'incident lui-même s'y documente. Date, nature, mesures. Utile à la CNIL et à vous dans six mois, quand plus personne ne se souviendra si le reset a eu lieu le mardi ou le jeudi. Dix lignes valent mieux qu'un oubli.
L'incident lui-même s'y documente. Date, nature, mesures. Utile à la CNIL et à vous dans six mois. Dix lignes valent mieux qu'un oubli.
Ce que le registre n'est pas
Ce n'est pas le constat technique (trop détaillé, trop logs). Ce n'est pas la notification (formulaire). Ce n'est pas la comm'. C'est l'inventaire vivant de vos traitements, plus une trace que l'incident a existé et ce que vous avez changé.
Un PDF de 60 pages acheté en 2021 et jamais ouvert ne devient pas vrai parce que vous l'imprimez le lundi. Mieux : un tableur honnête commencé maintenant. La date de création du fichier, visible, évite le soupçon d'un registre « antedaté » trop parfait.
Ce n'est pas non plus une obligation nouvelle née du hack. Elle existait. Le hack la rend urgente et visible. RGPD TPE.
La fiche traitement, même tardive
Pour le site : catégories de personnes (clients, prospects, newsletter), données (identité, commande, logs), finalités, bases, durées, destinataires (host, ESP, PSP, analytics), transferts, mesures. Approximatif et vrai > précis et faux.
Les traitements oubliés sortent pendant l'incident (chat, old CRM, fichier Excel). Ajoutez-les. Les pixels pirates : destinataires *retirés*, avec une date.
La confidentialité publique doit rester compatible, sans tout recopier. Mentions ≠ registre.
- Quoi, pourquoi, où, combien de temps.
- Qui reçoit (y compris après inventaire).
- Mesures de sécu en une ligne chacune.
La fiche incident
Date de découverte, nature (compromission site / lecture plausible table X / kit phishing…), systèmes, décision notifier (oui/non + motif), date d'envoi CNIL, date d'information des personnes, mesures (reset le…, sessions le…, MAJ le…), liens vers constat v1/v2 et tickets. Dix à vingt lignes.
Si vous n'avez pas notifié : le motif écrit (« défacement sans accès base étayé, logs absents, risque jugé… ») est la pièce que vous serez content d'avoir. Voir constater.
Une réinfection : nouvelle fiche ou suite numérotée. Ne réécrivez pas la première pour « que ce soit plus joli ».
Sous-traitants révélés par le hack
Hébergeur, agence, freelance, ESP, CDN, backup, outil de sécu. Accès, DPA présent ou non. L'incident est un audit involontaire. Hébergeur, contrat.
Ceux que vous quittez : date de fin, données à rendre / détruire (demande écrite). Ceux que vous gardez : ce qui manque au papier.
Un sous-traitant « trouvé dans le HTML » sans contrat : retirez d'abord, écrivez ensuite.
Mesures : promettre vs dater
« On va mettre la 2FA » n'est pas une mesure. « 2FA admin activée le 18/03 pour N comptes » l'est. Même chose pour backups hors serveur, 755/644, PHP uploads, clés révoquées. Les articles techniques de ce lot sont une checklist ; le registre est le tampon dateur.
Une mesure abandonnée (on a retiré le captcha parce que ça cassait) s'écrit aussi. L'honnêteté évite un théâtre à la prochaine question.
Le clair en base corrigé le… est une ligne qui pèse. Mots de passe en clair.
Où le ranger, qui le voit
Accès direction + éventuellement DPO / conseil. Pas le Drive « comm' ». Le constat technique trop détaillé peut rester à part, le registre pointe vers lui.
Durée : tant que les traitements vivent, plus le délai utile après incident (assurance, contrôle). Puis revue.
Un prestataire peut aider à rédiger. Vous signez le contenu. Il ne « tient pas votre registre dans son cloud » sans cadre.
Six mois plus tard
Vous ne saurez plus si les sessions ont été vidées. La fiche le dit. Un nouveau freelance demandera « c'est arrivé quoi ». Vous donnerez trois lignes, pas une légende.
Revue des mesures : la 2FA est-elle encore sur tous les admins ? Le backup distant tourne-t-il ? C'est le vrai usage du registre, plus que l'inspecteur imaginaire.
Si un contrôle ou une question personne arrive, vous n'inventez pas. Guide fuite. Une relecture à deux (vous + comptable ou associé) évite les dates qui se contredisent entre la fiche incident et les factures.
Lien avec les autres écrits
Registre ↔ constat ↔ notification ↔ email personnes ↔ pièces assurance. Mêmes dates, mêmes catégories. Un écart est un bug de dossier, à corriger par un addendum, pas par un oubli.
La plainte n'a pas besoin du registre complet. Une fiche incident + preuves suffisent souvent au guichet.
Créer un compte pour le site. Le tableur, c'est vingt minutes chez vous, après le premier constat, pas à la place du nettoyage. Si vous n'avez vraiment que le site comme traitement, une fiche suffit : n'inventez pas un registre RH/compta fictif le soir du hack. Vous les ajouterez la semaine suivante, à froid, avec la personne qui tient vraiment ces fichiers.
- Fiches traitements honnêtes.
- Fiche incident datée, décisions motivées.
- Mesures tamponnées, pas promises.